Ano ang nangyari
Noong Oktubre 8, 2026, 01:12 UTC, nailathala ang bersyong 0.5.144 ng npm package na tensorlake, ang SDK ng isang serverless sandbox platform para sa AI agents, na may worm mula sa pamilyang Shai-Hulud na nagnanakaw ng credentials. Mga 12,000 hanggang 18,000 lingguhang download ang package. Mga 1 oras at 40 minuto itong naka-live, ayon sa advisory ng maintainers, na nagsabing walang paggamit nito sa telemetry. Na-flag ng Socket ang malisyosong bersyon 11 minuto matapos itong mailathala.
Hindi naapektuhan ang PyPI at Cargo packages ng Tensorlake, ayon sa mga nailathalang pagsusuri.
Paano sila nakapasok
Hindi sa npm nagsimula ang atake kundi sa GitHub:
- Noong Oktubre 7, nag-push ang umaatake ng commits direkta sa main branch ng tensorlakeai/tensorlake sa web UI, gamit ang admin account ng isang maintainer, nang walang pull request.
- Inayos ng walong commit ang payload at nagdagdag ng preinstall hook sa package.json.
- Mga 20 oras pagkatapos, mano-manong pinatakbo ng parehong account ang opisyal na publish workflow.
Ang resulta: lumabas ang package na may balidong provenance attestation. Gaya ng paalala ng StepSecurity, sinasabi ng attestation kung saan binuo ang package, hindi na ligtas ang code.
Ano ang ginagawa ng malware
- Pinapatakbo ng preinstall hook ang isang obfuscated loader na nagda-download ng Bun runtime at nagpapatakbo ng 856 KB na payload.
- Ninanakaw nito ang npm at GitHub tokens, cloud, Kubernetes at Vault credentials, at config files ng AI coding tools.
- Sinusubukan nitong kumalat: nire-republish ang ibang package ng user at nagko-commit ng .claude at .vscode files sa kanilang repos, gamit ang pekeng author na "claude@users.noreply.github.com" at mensaheng "chore: update dependencies".
- Hostage token: nag-i-install ito ng monitor na sumusuri sa ninakaw na GitHub token kada 60 segundo hanggang 24 oras. Kapag na-revoke ang token, binubura nito ang home directory (rm -rf ~/ sa Linux at macOS). Hindi magkasundo ang mga researcher kung kailan eksaktong naa-activate ang bitag.
Tugma ang two-file pattern (setup.mjs at Math_Symbol.js) sa mga atake noong Agosto sa keyv at cacheable packages, na batay sa "mini Shai-Hulud" code na inilabas ng grupong TeamPCP. Walang patunay na iisang grupo ito.
Ano ang gagawin kung na-install mo ito
- Bago i-revoke ang tokens, ihiwalay ang makina at patayin ang monitoring process, para hindi mawala ang home directory mo.
- Ituring na kompromisado ang lahat ng credential sa makina: npm, GitHub, cloud at AI agent configs. Saka i-rotate lahat.
- Hanapin ang mga commit na "chore: update dependencies" mula sa kakaibang author at mga bagong workflow sa repos mo.
- Suriin ang mga kamakailang nailathalang bersyon ng sarili mong packages.
Mga aral
- Gawing kailangan ang review sa bawat push sa main, kasama ang mula sa admins.
- Gumamit ng hardware keys (FIDO2) sa maintainer accounts.
- Magpatupad ng cooldown period bago mag-install ng bagong-labas na bersyon, at i-disable ang install scripts kung kaya.
- Target na ngayon ang AI coding tools: may mahahalagang key ang kanilang configs.
Mga pinagmulan
- Security advisory ng Tensorlake (GHSA-8g63-53c9-65j2): https://github.com/tensorlakeai/tensorlake/security/advisories/GHSA-8g63-53c9-65j2
- Socket: https://www.socket.dev/blog/tensorlake-compromise
- StepSecurity: https://www.stepsecurity.io/blog/tensorlake-npm-compromised-hostage-token-worm
- Aikido: https://www.aikido.dev/blog/tensorlake-npm-package-compromised
Gusto mo bang protektahan ang iyong software supply chain at pipelines? Nag-aalok ang KGA IT ng libreng konsultasyon: kga-it.com.